Gizlilik Politikası

Bu, kolaylığınız için sağlanan bir çeviridir. Bağlayıcı olan sürüm İngilizcedir; bir farklılık olması hâlinde İngilizce sürüm esas alınır.

Merhaba. Bu politika, verilerinizle ne yaptığımızı anlatır — bir insan tarafından yazılmıştır, hukuki şablon üreteci tarafından değil. Size jargon gibi gelen bir şey varsa, bu bir hatadır. dpo@gila.coach adresine yazın, düzeltelim. Bu politikayı İspanyolca (/es/privacy) ve Türkçe (/tr/privacy) olarak da sunuyoruz; senkronize tutmak için çaba gösteriyoruz. Bir boşluk fark ederseniz lütfen bize bildirin — fiilen yaptığımıza en doğru şekilde karşılık gelen sürüme güveneceğiz ve diğerlerini güncelleyeceğiz.

---

Hızlı özet

Aşağıdaki tam politika kaynağın kendisidir. Bu özet, devamını okumaya ihtiyacınız olup olmadığına karar verebilmeniz içindir.

• Biz kimiz. Gila tek bir kişidir: Sezen Soykut, Türkiye'de kayıtlı bir şahıs şirketi sahibi. Sezen aynı zamanda Veri Koruma Sorumlusu'dur (Data Protection Officer) — dpo@gila.coach adresine yazın, o okur.
• Verileriniz nerede tutulur. Kilonuz, ilacınız, yan etkileriniz, yemekleriniz, ruh haliniz, alışkanlıklarınız ve günlük kayıtlarınız katmanlı korumalar altında (şifreleme, sıkı sözleşmeler, satır düzeyinde erişim kontrolleri) ABD sunucularında (Ohio'da Supabase) tutulur. Apple Health veya Health Connect'ten senkronize ettiğiniz veriler telefonunuzda kalır — silmek isterseniz iOS veya Android Ayarları'ndan silebilirsiniz.
• Asla yapmadıklarımız. Verileriniz satılık değildir. Gila'da reklam göstermeyiz, sizi reklam ağlarıyla paylaşmayız veya isteklerinizi (prompt) eğitim amacıyla kullanan hiçbir AI sağlayıcısı kullanmayız. Kabul edebileceğiniz, düzenleyebileceğiniz veya yok sayabileceğiniz AI önerileri sunarız — Gila içindeki hiçbir AI, siz olmadan sizin hakkınızda hiçbir şeye karar veremez.
• Nasıl ayrılırsınız. Ne zaman ayrılmak isterseniz, her şeyi yanınızda götürüp geride hiçbir şey bırakmayabilirsiniz. Uygulama içinden veya /delete-account adresinden silin — verileriniz canlı veritabanımızdan 24 saat içinde, dönen yedeklerden ise 30 gün içinde kaldırılır.

---

1. Biz kimiz

Gila tek bir kişidir: Sezen Soykut. İşini Türkiye Cumhuriyeti'nde kayıtlı bir şahıs şirketi olarak, "Gila" ticari adı altında yürütür ve aynı zamanda dahili Veri Koruma Sorumlusu'dur (DPO) — yani bir gizlilik sorusuyla dpo@gila.coach adresine yazdığınızda, Sezen okur. Bu, tasarım gereği küçük bir ekiptir. Ayrıca gizlilik kararlarının bir departmana dağılmadığı, e-posta gönderebileceğiniz aynı insanda kaldığı anlamına gelir.

Tescilli iş adresi Karya Evleri 3/18, Ataşehir Mahallesi, Çiğli, İzmir, Türkiye. Bu, Türk vergi dairesi nezdindeki tescilli şahıs şirketi adresimizdir. Posta yazışmaları ve resmi hukuki bildirimler bu adrese gönderilebilir.

Veri Koruma Sorumlusu (DPO) Sezen Soykut, dahili Veri Koruma Sorumlusu olarak görev yapar. İletişim: dpo@gila.coach. DPO ataması, temel işleme faaliyetlerimizin düzenli ve sistematik olarak sağlık verisi içermesini yansıtır (GDPR Madde 37).

AB temsilcisi (GDPR Madde 27) Bir GDPR Madde 27 AB temsilcisi atama sürecindeyiz. Bu ara dönemde, normalde bir AB temsilcisinden geçecek her türlü konu için Veri Koruma Sorumlumuza dpo@gila.coach adresinden ulaşabilirsiniz. Temsilci belirlenir belirlenmez bu bildirimi güncelleyeceğiz.

Birleşik Krallık temsilcisi (UK GDPR Madde 27) Bir UK GDPR Madde 27 Birleşik Krallık temsilcisi atama sürecindeyiz. Bu ara dönemde, normalde bir Birleşik Krallık temsilcisinden geçecek her türlü konu için Veri Koruma Sorumlumuza dpo@gila.coach adresinden ulaşabilirsiniz. Temsilci belirlenir belirlenmez bu bildirimi güncelleyeceğiz.

Türkiye (KVKK) Gila, Türkiye'den işletilmektedir. Kişisel Verileri Koruma Kurulu (KVKK) birincil denetim otoritemizdir. Türkiye'ye özgü açıklamalar, Türk kullanıcılardan açık yurt dışına aktarım rızasının nasıl alındığı dahil olmak üzere, /privacy/turkey adresinde yer almaktadır.

---

2. Bu politikanın kapsamı

Bu Gizlilik Politikası şunlara uygulanır:

• iOS ve Android için Gila mobil uygulaması (paket kimliği coach.gila).
• Pilot kaydı, öğrenme merkezi, bülten ve hesap silme sayfaları dahil olmak üzere gila.coach web sitesi.
• Henüz hesap sahibi olmayan aboneler için Gila bülteni.
• gila.coach açılış sayfası üzerinden toplanan hesap öncesi pilot kayıtları.
• gila.coach bekleme listesi formu üzerinden toplanan hesap öncesi lansman bekleme listesi kayıtları.

Bu politika, App Store veya Google Play mağazalarının kendisini kapsamaz — Apple ve Google bunları bağımsız olarak işletir — ve öğrenme içeriğinden bağlantı verdiğimiz üçüncü taraf web sitelerini kapsamaz.

Hizmet Şartlarımız (Terms of Service), /terms adresinde ayrı bir belgedir. Hizmet Şartları sizinle Gila arasındaki sözleşmeyi belirler; bu Gizlilik Politikası verilerinizle ne yaptığımızı açıklar.

---

3. Ne topluyoruz ve neden

Gila'nın büyük bölümünü bize opsiyonel hiçbir veri vermeden kullanabilirsiniz. Yalnızca kullandığınız özellik için gereken şeyi toplarız ve hassas alanlar görünmeden önce sizi uygulama içinde bilgilendiririz.

Aşağıdaki tablo, verileri kategorilere göre gruplandırır. Her satır size neyi topladığımızı, nereden geldiğini, ne için kullandığımızı, AB/UK GDPR kapsamındaki hukuki dayanağımızı ve ne kadar süre sakladığımızı gösterir. Tam tablo bazlı envanter ve dahili İşleme Faaliyetleri Kayıtlarımız, denetim otoritelerine ve veri sahiplerine dpo@gila.coach üzerinden talep üzerine üretilir.

3.1 Kimlik ve hesap verileri

3.2 Sağlık ve esenlik verileri (özel nitelikli — GDPR Madde 9)

Bu veri hassastır. Bu veriyi yalnızca açık rızanızla, başlangıç (onboarding) sırasında uygulama içi onay kapısı aracılığıyla alınan rıza ile işleriz ve rızanızı istediğiniz zaman geri çekebilirsiniz.

Kalori ve makro besin takibi, Washington Eyaleti My Health My Data Yasası (RCW 19.373) kapsamında "tüketici sağlık verisi" olarak ele alınır; deneyimin nerede olursanız olun aynı olması için aynı açık rıza standardını global olarak uyguluyoruz.

3.3 Davranışsal ve çıkarımsal veriler

3.4 Teknik ve operasyonel veriler

3.5 Ticari veriler (abonelikler)

Ödeme kartı verisi hiçbir zaman Gila'ya ulaşmaz. Ödemeyi Apple veya Google işler; biz yalnızca ortaya çıkan abonelik durumunu alırız.

3.6 Pazarlama ve etkileşim verileri

E-posta adresiniz hiçbir zaman başka bülten operatörlerine açılmaz; abone listemizi satmayız, kiralamayız, paylaşmayız.

Kullanım verilerine (analitik) onay verirseniz, sizi hangi reklamımızın getirdiğini (reklam, kampanyası, dokunduğunuz bağlantı, telefonunuzun platformu, bağlantıya ne zaman dokunduğunuz ve uygulamayı ne zaman yüklediğiniz; sağlığınızla ilgili hiçbir bilgi değil) ve bize söylerseniz Gila'yı nereden duyduğunuzu kaydederiz. Bu bilgiyi en fazla 24 ay saklarız. Kendi sistemlerimizde kalır; Meta'yla ya da başka reklam platformlarıyla paylaşmayız.

---

4. AI'yi nasıl kullanıyoruz

Aşağıdaki özellikleri güçlendirmek için AI kullanıyoruz. Bunu, EU AI Act Madde 50 (AI ile ne zaman etkileşimde olduğunuzu bilmeniz için) ve GDPR Madde 13(2)(f) (mantık hakkında anlamlı bilgiye sahip olmanız için) doğrultusunda burada açıklıyoruz.

4.1 Hangi özellikler AI kullanıyor

4.2 Hangi AI sağlayıcılarını kullanıyoruz

Birincil AI sağlayıcımız Google Gemini'dir (Gemini 2.5 Flash ve Gemini gömme modeli). Yukarıdaki 12 özelliğin tümünü varsayılan olarak güçlendirir.

Belirli özellikler için ayrıca şunları da kullanabiliriz:

• Anthropic Claude (Haiku / Sonnet / Opus) — Alışkanlık Lab'ında (özellik 5) konuşmalı model olarak ve dahili QA değerlendirme hattımızda (eval-score) kullanılır, ayrıca yemek görüşü (özellik 1) içinde isteğe bağlı bir A/B yolu olarak kullanılır. A/B yolu üretimde varsayılan olarak kapalıdır.
• OpenAI — yalnızca yemek görüşü (özellik 1) içinde isteğe bağlı bir A/B yolu olarak mevcuttur. Üretimde varsayılan olarak kapalıdır; varsayılanı değiştirdiğimizde açıklamanın zaten hazır olması için OpenAI'yi koşullu bir sağlayıcı olarak önceden açıkladık.
• Perplexity (sonar-pro) — kaynak temelli araştırma alıntıları için Alışkanlık-sinyal ajanı (özellik 12) tarafından ve belirsiz yemekler için araştırma yedeği olarak yemek görüşü (özellik 1) tarafından kullanılır. Yalnızca anonimleştirilmiş konu bazlı sorgular gönderilir — asla kimliğiniz gönderilmez.

Özellik bazında, sağlayıcı bazında eşleştirmeyi Veri İşleyen Listemizde görebilirsiniz.

4.3 İstek başına gönderilen veri

Her AI özelliği için yalnızca o belirli istek için gereken asgari bağlamı göndeririz — asla tam kaydınızı değil. Tipik bir istek, seçilmiş bir anlık görüntüyü (örn. son kilo, son ruh hali, mevcut hedefler) ve görüş özellikleri için ilgili görseli içerir. E-postanız ve adınız gibi tanımlayıcılar, istek sunucularımızdan ayrılmadan önce çıkarılır.

4.4 Eğitim için kullanılmaz

AI sağlayıcılarımızın hiçbiri isteklerinizi veya verilerinizi temel modellerini eğitmek için kullanmaz:

• Google Gemini — Google'ın ticari API şartları, API'ye gönderilen müşteri verilerinin Google'ın modellerini geliştirmek için kullanılmadığını belirtir. Her istekte "eğitim yok" bayrağını ayarlarız.
• Anthropic Claude — Anthropic'in Ticari Şartları, API üzerinden gönderilen müşteri verilerinin modelleri eğitmek için kullanılmadığını taahhüt eder.
• OpenAI — OpenAI'nin (API kullanımını düzenleyen) İş Şartları, müşteri verilerinin varsayılan olarak eğitim için kullanılmadığını taahhüt eder.
• Perplexity — Perplexity'nin API şartları, API üzerinden gönderilen verilerin Perplexity'nin modellerini eğitmek için kullanılmadığını taahhüt eder.

Herhangi bir sağlayıcı, eğitim yok varsayılanını tersine çevirecek şekilde şartlarını değiştirirse, etkilenen özelliği yeniden değerlendirir, daha fazla işleme öncesinde yeniden rızanızı ister ve bu bildirimi güncelleriz.

4.5 GDPR Madde 22 kapsamında otomatik karar alma

GDPR Madde 22, bir kararın yalnızca otomatik olduğu ve hukuki veya benzer şekilde önemli etkiler doğurduğu durumlarda uygulanır. Dahili Veri Koruma Etki Değerlendirmemize (dpo@gila.coach üzerinden talep üzerine erişilebilir) göre, Gila'nın hiçbir AI özelliği bu tür kararlar almaz. Bunlar, kabul edebileceğiniz, düzenleyebileceğiniz veya yok sayabileceğiniz AI önerileridir — kontrol sizde kalır:

• Yemek görüşü bir kalori tahmini döndürür; kaydetmeden önce düzenleyebilirsiniz ve harekete geçip geçmeyeceğinize siz karar verirsiniz.
• Alışkanlık ve hedef önerileri size sunulur — kabul eder, düzenler veya reddedersiniz.
• Alışkanlık Lab'ı konuşmalı bir oyun alanıdır; içindeki hiçbir şey erişimi kapatmaz veya bir sözleşme dayatmaz.
• Gila'da hiçbir AI özelliği hizmete erişiminizi, hesap durumunuzu veya herhangi bir dış hakkı etkilemez.

Sizi etkileyen herhangi bir AI çıktısının mantığı hakkında bize soru sorabilir ve dpo@gila.coach adresine e-posta göndererek insan incelemesi talep edebilirsiniz.

4.6 EU AI Act Madde 50 şeffaflığı

EU AI Act Madde 50 kapsamında, bir AI sistemiyle etkileşimde olduğunuzda bilgilendirilme hakkına sahipsiniz. Gila'daki her AI tarafından üretilen yüzey, uygulama içi bilgi panelinde sağlayıcı adıyla birlikte "AI tarafından üretildi" etiketi taşır. Alışkanlık Lab'ı ve başlangıçtaki "AI anı" özelliği, AI kullanıldığında bu açıklamayı belirgin biçimde gösterir.

4.7 Kalori sayımı ve yemek tanıma: dürüst bir uyarı

Yemek görüşü bir tahmindir. Model benzer yemekleri karıştırabilir, karışık bir tabaktaki malzemeleri kaçırabilir veya porsiyon boyutunu yanlış değerlendirebilir. Size gösterdiğimiz sayı bilgilendirici niteliktedir — tıbbi tavsiye değildir ve kayıtlı bir diyetisyenin, doktorun veya eczacının yerini tutmaz. Aynı durum uygulamadaki tüm AI tarafından üretilen koçluk içeriği için de geçerlidir: klinik bir öneri değil, düşünmeye yönelik bir dürtüdür.

4.8 AI ile yapmadıklarımız

• Yalnızca AI kullanarak sizin hakkınızda hukuki, istihdam, finansal veya başka önemli kararlar almayız.
• AI sağlayıcılarının, isteklerinizi veya verilerinizi temel modellerini eğitmek için kullanmasına izin vermeyiz (yukarıdaki sağlayıcı bazlı sözleşmeler doğrultusunda).
• AI'yi reklam, reklam için profilleme veya herhangi bir üçüncü taraf pazarlama amacıyla kullanmayız.
• AI girdilerinizi veri komisyoncularından veya sosyal medya platformlarından gelen verilerle birleştirmeyiz.

4.9 AI rızasını geri çekme

AI özellikleri isteğe bağlıdır (opt-in). AI rızanızı geri çekerseniz, uygulama çalışmaya devam eder — manuel takip, grafikler ve zaman çizelgesi kalır — ancak "AI" etiketli özellikler herhangi bir AI sağlayıcısına veri göndermeyi durdurur. Geri çekme sağlayıcıdan bağımsızdır — tek bir karar yukarıdaki tüm sağlayıcıları kapsar. Geri çekmek için self-servis haklar formumuzu ziyaret edin veya dpo@gila.coach adresine e-posta gönderin.

---

5. Verileriniz nereye gidiyor

Gila'nın birincil veritabanı ve destekleyici hizmetlerimizin çoğu Amerika Birleşik Devletleri merkezlidir. Bu nedenle ABD dışındaki her kullanıcı, kişisel verilerin sınır ötesi aktarımını doğurur.

5.1 Veri nerede duruyor

Apple HealthKit (iOS) ve Health Connect (Android), verilerini cihazınızda tutar; biz yalnızca Gila ile paylaşmayı kabul ettiğiniz günlük toplamı alırız.

5.2 Bu aktarımları nasıl hukuka uygun kılıyoruz

AB, EEA, Birleşik Krallık ve İsviçre'deki kullanıcılar için şunlara güveniyoruz:

1. Standart Sözleşme Hükümleri (SCC) — Avrupa Komisyonu'nun her işleyen sözleşmesine eklenen 2021 Modül 2'si (Kontrolör → İşleyen).
2. AB-ABD Veri Gizliliği Çerçevesi (DPF), Birleşik Krallık Uzantısı ve İsviçre-ABD DPF, sağlayıcının DPF sertifikalı olduğu durumlarda (özellikle Google ve Cloudflare) katmanlı bir savunma olarak.
3. Tamamlayıcı teknik ve kurumsal önlemler — aktarımda şifreleme (TLS 1.3) ve depolamada şifreleme (AES-256), her Supabase tablosunda satır düzeyi güvenlik, AI isteği başına veri minimizasyonu, hashlenmiş analitik tanımlayıcıları, hükümet erişim taleplerine sözleşmesel kısıtlamalar ve aşırı geniş taleplere itiraz taahhütleri. Aktarım Etki Değerlendirmemiz (2026-05-16 tarihli) dpo@gila.coach üzerinden talep üzerine sunulur.

Türkiye'deki kullanıcılar için SCC'ye veya DPF'ye güvenemeyiz — ABD, Türkiye'nin "yeterli korumaya sahip ülkeler" listesinde değildir ve KVKK Kurulu onayımız yoktur. Bunun yerine, başlangıçta alınan ve rıza kaydımıza işlenen KVKK Madde 9 kapsamında açık rızaya güveniriz. Bu rıza olmadan uygulamayı size sunamayız, çünkü çalışması için verinin ABD'ye gitmesi gerekir.

Brezilya'daki kullanıcılar için özel rıza ile LGPD Madde 33'e güveniriz. Kanada için PIPEDA hesap verebilirlik ilkesine güveniriz ve aktarım sonrasında veri için sorumlu kalmaya devam ederiz. Avustralya için APP 8 sınır ötesi ifşa gerekliliklerine uyarız.

5.3 Dürüst kalıntı risk

ABD hukuku (FISA §702, CLOUD Act, Ulusal Güvenlik Mektupları), belirli durumlarda ABD merkezli bir sağlayıcının veri sunmaya zorlanmasına izin verir. Bugüne kadar böyle bir talep almadık. Bir gün alırsak, şu taahhütlerde bulunuruz:

• aşırı geniş, belirsiz veya orantısız her talebe itiraz etmek;
• (hukuken izin verildiği ölçüde) size söyleyebilmek için herhangi bir gizlilik kararından (gag order) muafiyet aramak;
• uygun olduğunda AB temsilcimizi ve ilgili denetim otoritelerini bilgilendirmek;
• hacimler gerektirdiğinde bunu yıllık şeffaflık duruşumuzda yayımlamak.

ABD aktarımlarının risksiz olduğunu iddia etmiyoruz. Riski tarttık, yukarıdaki tamamlayıcı önlemleri uyguladık ve mevcut tasarımı kullanıcı tabanımız için kabul edilebilir bulduk. Bu hesaplama değişirse — örneğin AB-ABD DPF yeniden geçersiz kılınırsa veya EEA kullanıcı payımız önemli ölçüde büyürse — birincil veritabanımızı bir AB bölgesine taşıyacağız.

Tam veri işleyen listesi /subprocessors adresinde yer alır ve aşağıdaki bölüm 6'da referans verilir.

---

6. Paylaşım

Verilerinizle yapmadığımız şeyler konusunda net olmak istiyoruz:

• Kişisel verilerinizi satmıyoruz. Ne CCPA'nın tanımı altında, ne başka bir eyalet hukukunun tanımı altında, ne de sağduyulu herhangi bir tanım altında.
• Verilerinizi reklamcılarla paylaşmıyoruz. Reklam ağı yok. Yeniden hedefleme pikseli yok. "Benzer kitle" yok. Veri komisyoncusu yok.
• Sağlık verinizi pazarlama için kullanmıyoruz. Pazarlama e-postalarını ilacınıza, kilonuza veya başka herhangi bir Madde 9 niteliğine göre segmentlere ayırmıyoruz.

6.1 Kimlerle paylaşıyoruz

Verileri yalnızca hizmetin bir kısmını bizim için işleten işleyenlerle paylaşırız. Her işleyen, yazılı bir veri işleme sözleşmesiyle bağlıdır ve verilerinizi yalnızca talimatlarımız doğrultusunda kullanabilir. Her işleyenin rolü, bölgesi, veri kategorisi ve DPA durumu dahil tam liste /subprocessors adresindedir.

6.2 Yasal ifşalar

Yasal olarak zorunlu olduğumuzda — örneğin geçerli bir mahkeme kararı, yetkili bir otoriteden gelen celp veya bir denetim otoritesinden gelen talep — verilerinizi ifşa edebiliriz. Bu gerçekleştiğinde:

• Talebi inceler ve aşırı geniş, belirsiz görünüyorsa veya talep edenin hukuki yetkisini aşıyor gibiyse itiraz ederiz.
• Yasal olarak yasaklanmadığımız sürece sizi bilgilendiririz.
• Yalnızca kararın zorladığı belirli veriyi ifşa ederiz, asla kullanıcının tam kaydını değil.

6.3 İşletme devirleri

Bir gün satın alınır, birleşir veya yeniden yapılandırılırsak (Gila şu anda tek kişilik bir işletme olduğundan bu olası değildir, ancak belirtmekte fayda var), verileriniz yeni operatöre aktarılabilir. Değişiklikten en az 30 gün önce bilgilendirilirsiniz ve herhangi bir aktarım gerçekleşmeden önce verilerinizi silme hakkınızı korursunuz.

6.4 Topluluk paylaşımı (Alışkanlık Kütüphanesi)

Gila'nın isteğe bağlı bir topluluk Alışkanlık Kütüphanesi vardır. Bir alışkanlığı buraya göndermeyi seçerseniz — bu varsayılan olarak kapalıdır ve asla otomatik değildir — bu gönderi kamuya açık bir ifşa haline gelir ve bunu böyle ele almalısınız:

• Neler kamuya açık hale gelir: yazdığınız alışkanlık içeriği (başlık, açıklama, tetikleyici ve eylem, herhangi bir not) ve seçtiğiniz yazar etiketi. E-postanız ve hesap tanımlayıcılarınız asla yayımlanmaz.
• Kimler görebilir: diğer Gila kullanıcıları ve oturum açmamış kişiler. Gönderdiğiniz her şeyi açık internete görünür olarak değerlendirin.
• Yazar ilişkilendirmesi: varsayılan olarak alışkanlığınız takma adla yayımlanır — gerçek adınız yalnızca paylaştığınız anda açıkça izin verirseniz gösterilir.
• Güvenlik incelemesi: her gönderi, görünmeden önce otomatik bir güvenlik kontrolünden geçer. Bunu geçmek bir güvenlik kapısıdır, tıbbi veya editoryal bir onay değildir. Topluluk alışkanlıkları eş önerileridir, tıbbi tavsiye değildir.
• Hukuki dayanak: gönderdiğiniz anda alınan açık rızanız (GDPR Madde 6(1)(a); ve alışkanlık sağlık davranışını yansıttığında Madde 9(2)(a) / KVKK Madde 6). Bu, Gila'nın uygulama içi koçluk için verilerinizi işlemesine izin veren rızadan ayrıdır.
• Geri çekme ve silme: yayımladığınız bir alışkanlığı istediğiniz zaman geri çekebilirsiniz. Hesabınızı silerseniz, yayımlanmış alışkanlıklarınız anonimleştirilir (adınız ve hesap bağlantınız kaldırılır); diğer kullanıcıların zaten kendi takipçilerine benimsediği kopyalar kendilerinde kalır, ancak artık size atfedilmez.
• Bildirim ve saklama: herkes bir alışkanlığı bildirebilir ve kuralları ihlal eden içerik herkes için kaldırılır. Bir gönderi güvenlik incelemesi tarafından reddedilirse, reddedilen kayıt ve AI güvenlik etiketleri en fazla 90 gün (itiraz penceresi) saklanır ve ardından silinir. Bkz. Topluluk Kuralları.

---

7. Çocuklar

Gila yetişkinler için tasarlanmıştır. 16 yaşında veya daha büyük olmanız gerekir — bunu kayıt sırasında size sorarız. Bunu söylerseniz ve değilseniz, öğrendiğimizde hesabı kapatırız. Ebeveynler: 16 yaşından küçük bir çocuğun kayıt olduğunu düşünüyorsanız, dpo@gila.coach adresine yazın, hesabı ve verileri aynı gün sileriz.

16 yaşını seçtik çünkü hizmet verdiğimiz yargı alanları arasındaki en yüksek dijital rıza yaşıdır, bu da kuralı basit tutar.

Raporları nasıl ele aldığımız ve uyguladığımız korumalar dahil tam çocuk güvenliği açıklamaları Çocuk Güvenliği Bildirimimizde yer alır.

---

8. Haklarınız

Hizmet verdiğimiz her yargı alanında aşağıdaki haklara sahipsiniz. İfade rejimler arasında (GDPR, UK GDPR, KVKK, LGPD, CCPA, MHMDA ve diğer ABD eyalet yasaları) farklılık gösterir, ancak pratik etki büyük ölçüde aynıdır. Bir hak yargı alanına özgü olduğunda, bunu belirttik.

Çoğu erişim talebi 7 gün içinde karşılanır; karmaşık talepler sınırlı durumlarda uzatmalarla birlikte 30 güne kadar sürebilir (GDPR Madde 12(3) tavanı 30 gündür, karmaşık konular için 60 gün ek uzatılabilir; bir uzatma gerekiyorsa ilk 30 gün içinde size söyleriz). Makul herhangi bir talep için ücret talep etmiyoruz.

8.1 Kimlik doğrulama

Verilerinizi korumak için, herhangi bir erişim, silme veya taşınabilirlik talebine işlem yapmadan önce kimliğinizi doğrularız — genellikle bir e-posta bağlantısı sınamasıyla ve bot koruma kontrolümüzle. Sizi doğrulayamazsak, neye ihtiyacımız olduğunu size söyleriz.

8.2 Denetim otoriteleri

Talebinizi düzgün ele almadığımızı düşünüyorsanız, bir denetim otoritesine şikayette bulunabilirsiniz. Kendi ülkenizdeki otoriteyi veya bizim kuruluşumuzun bağlı olduğu otoriteyi seçebilirsiniz.

• Türkiye (ana denetleyicimiz) — Kişisel Verileri Koruma Kurulu (KVKK), Ankara — kvkk.gov.tr
• İspanya (AB temsilciliği yargı alanı) — Agencia Española de Protección de Datos (AEPD) — aepd.es
• Birleşik Krallık — Information Commissioner's Office (ICO) — ico.org.uk
• Diğer AB/EEA Üye Devletleri — ulusal veri koruma otoriteniz; liste edpb.europa.eu adresindedir
• İsviçre — Federal Data Protection and Information Commissioner (FDPIC) — edoeb.admin.ch
• Brezilya — Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd
• Kanada — Office of the Privacy Commissioner of Canada (OPC) — priv.gc.ca; Quebec sakinleri Commission d'accès à l'information ile de iletişime geçebilir
• Avustralya — Office of the Australian Information Commissioner (OAIC) — oaic.gov.au
• Amerika Birleşik Devletleri — ilgili başsavcılık iletişim bilgisi için /privacy/california, /privacy/washington ve diğer eyalet bildirimlerine bakın

---

9. Güvenlik

Gila tek bir kişi tarafından yürütülür ve bu kişi — Sezen — verilerinize yalnızca zorunlu olduğunda dokunur: bir hata, bir destek talebi, bir kalite kıyaslaması, sizin talep ettiğiniz bir silme talebi veya bir güvenlik olayı. Burada "meraktan gezinme" diye bir şey yoktur. Her dokunuş kayıt altına alınır. Altındaki teknik katman:

• Aktarım sırasında şifreleme — zayıf şifreleme paketleri devre dışı bırakılmış olarak her bağlantıda TLS 1.2+ (TLS 1.3 tercih edilir).
• Bekleme sırasında şifreleme — Supabase, Firebase ve adı geçen diğer her işleyende platform katmanında AES-256.
• Satır düzeyinde güvenlik (RLS) — kişisel veri tutan her Supabase tablosu, yalnızca kendi verinizi okuyabilmeniz için satır düzeyinde güvenlik uygular ve uygulama kodumuz bunu atlayamaz.
• Kimlik doğrulama — bcrypt parola hashleme (Supabase tarafından yönetilir); Google ile Giriş Yap ve Apple ile Giriş Yap için PKCE ile OAuth 2.0; kısa yenileme pencerelerine sınırlandırılmış oturum tokenleri.
• Bot koruması — her genel formda Cloudflare Turnstile.
• Denetim günlüğü — Supabase denetim günlüğü ve Sentry breadcrumb'ları erişimi ve hataları kayıt altına alır.
• AI isteği başına veri minimizasyonu — özellik için gereken en küçük veri anlık görüntüsünü göndeririz, asla tam bir dışa aktarımı değil.
• Telemetri sınır disiplini — PostHog ve Sentry, e-postanız yerine hashlenmiş bir tanımlayıcı alır. Mühendislik yönergelerimiz gereği, analitik veya hata izleme olaylarına Tier-1 sağlık verisi dahil edilmez. Bir sızıntı keşfedilirse, bunu 72 saatlik bildirim taahhüdümüz kapsamında bir gizlilik olayı olarak ele alırız.

İhlal yanıtı

Haklarınız için bir risk oluşturması muhtemel bir kişisel veri ihlali gerçekleşirse, şu taahhütlerde bulunuruz:

• GDPR Madde 33 gereği farkına vardıktan sonraki 72 saat içinde lider denetim otoritesini bilgilendirmek;
• İhlalin yüksek risk oluşturması muhtemel olduğunda sizi gereksiz gecikme olmaksızın doğrudan bilgilendirmek (GDPR Madde 34);
• Bir olay kullanıcıların önemli bir bölümünü etkilediğinde kamuya açık bir bildirim yayımlamak — ve güvenlik endişeleri için her zaman doğrudan dpo@gila.coach ile iletişime geçebilirsiniz.

---

10. Saklama

Kişisel verileri, amaç için gereken süre boyunca tutarız, ardından silerız veya anonimleştiririz. Özet:

Hesap silme kalıcıdır. Talebinizi işledikten ve 30 günlük yedek penceresi geçtikten sonra, günlük kayıtları, fotoğrafları ve geçmişi dahil verilerinizi geri getiremeyiz.

---

11. Haklarınızı nasıl kullanırsınız

Herhangi bir gizlilik hakkını kullanmanın en hızlı yolu, /dsar adresindeki self-servis DSAR formudur. Sizi kimlik doğrulamasından geçirir ve erişim, düzeltme, silme, taşınabilirlik, kısıtlama veya itirazı tek bir yerde seçmenizi sağlar. 30 gün içinde yanıt veririz.

Ayrıca bize dpo@gila.coach adresinden e-posta gönderebilirsiniz. Bunu yaparsanız, lütfen hesabınızı tanımlamamıza yetecek kadar ayrıntı ekleyin (kayıt olurken kullandığınız e-posta genellikle yeterlidir) ve hangi hakkı kullandığınızı bize bildirin.

Özellikle hesap silme için, uygulama içi kısayol Ayarlar → Hesap → Hesabı Sil (iOS ve Android), web kısayolu ise /delete-account adresidir. Apple, uygulama içi hesap silmeyi zorunlu kılar; buna uyuyoruz.

Talebiniz yetkili bir temsilci aracılığıyla geliyorsa (örneğin Kaliforniya'da CCPA yetkili bir temsilcisi), işlem yapmadan önce hem kimliğinizi hem de temsilcinin yetkisini doğrularız.

---

12. Bu politikadaki değişiklikler

Bu politikayı önemli bir şey değiştiğinde güncelleriz — yeni bir işleyen, yeni bir AI özelliği, yeni bir yargı alanı, düzenleyici bir gelişme. Önemli bir değişiklik yaptığımızda şu taahhütlerde bulunuruz:

• Güncellenmiş politikayı yürürlüğe girmesinden en az 30 gün önce yayımlamak;
• Değişiklik özetini her hesap sahibine e-posta ile göndermek;
• Bir sonraki girişte uygulama içi yasal değişiklik banner'ı ile değişikliği işaretlemek.

Küçük düzenlemeler (yazım hatası düzeltmeleri, bozuk bağlantı onarımları, biçimlendirme) hemen yürürlüğe girer ve bu politikanın altındaki değişiklik günlüğüne kaydedilir. Mevcut sürüm, politikanın üst kısmındaki meta verilerde gösterilir.

---

13. Bölgeye özgü haklar

Farklı yargı alanları, bu ana politikanın üzerine belirli haklar veya belirli açıklamalar eklemektedir. Aşağıdaki bağlantılar sizi ilgili bölgesel eke götürür. Bu politikayla birlikte durur — onları birlikte okuyun.

• AB ve Birleşik Krallık sakinleri için gizlilik bildirimi — meşru menfaate dayalı işlemeye itiraz hakkı dahil tam GDPR ve UK GDPR hakları.
• Kaliforniya sakinleri için gizlilik bildirimi (CCPA / CPRA) — Kaliforniya'ya özgü kategoriler, bilme hakkı, silme hakkı, düzeltme hakkı, sınırlama hakkı ve "satmıyoruz" sertifikamız.
• Washington Eyaleti sakinleri için gizlilik bildirimi (My Health My Data Act) — açık tüketici sağlık verisi açıklamaları, ayrı sağlık verisi yetkilendirmesi ve WA Başsavcılığı şikayet yolu.
• Türkiye sakinleri için gizlilik bildirimi (KVKK) — uluslararası aktarımlar için KVKK Madde 9 açık rızası, KVKK Madde 11 hakları ve KVKK Kurulu şikayet yolu.
• Brezilya sakinleri için gizlilik bildirimi (LGPD) — LGPD hakları ve ANPD şikayet yolu.
• Kanada sakinleri için gizlilik bildirimi (PIPEDA + Quebec Kanun 25).
• Avustralya sakinleri için gizlilik bildirimi (1988 Gizlilik Yasası).
• İsviçre sakinleri için gizlilik bildirimi (revFADP).

ABD eyalet kapsamı Kaliforniya ve Washington'ın ötesine uzanır: Virginia, Colorado, Connecticut, Oregon, Texas, Montana, Iowa, Delaware, Maryland, New Hampshire, New Jersey, Tennessee, Minnesota ve Kentucky sakinleri de kendi eyalet tüketici gizliliği yasaları kapsamında haklara sahiptir. Yukarıdaki iki eyalete özgü sayfa (Kaliforniya ve Washington) en aktif uygulanan rejimleri kapsar; burada adı geçen diğer eyaletlerden herhangi biri için dpo@gila.coach adresine yazın, eyaletinizin haklar çerçevesi kapsamında yanıt vereceğiz.

---

14. Çerezler ve benzer teknolojiler

gila.coach web sitesi, oturumunuzu açık tutmak, dilinizi hatırlamak, ürün analitiği yürütmek (EEA / UK / İsviçre / Brezilya'da rızanızla) ve formları botlardan korumak için çerezler ve benzer teknolojiler kullanır. Gila mobil uygulaması web çerezleri kullanmaz.

Süre, tür ve kategori dahil tam çerez bazlı envanter Çerez Politikamızda yer alır. Seçimlerinizi istediğiniz zaman web sitesinin alt bilgisindeki çerez banner'ından veya dpo@gila.coach adresine e-posta göndererek değiştirebilirsiniz.

---

15. İletişim

Bu politika veya verileriniz hakkında herhangi bir soru, talep veya endişe için:

• Gizlilik + DPO: dpo@gila.coach
• Genel destek: support@gila.coach
• Posta adresi: Karya Evleri 3/18, Ataşehir Mahallesi, Çiğli, İzmir, Türkiye
• AB temsilcisi (GDPR Madde 27): atanma sürecinde; bu ara dönemde dpo@gila.coach ile iletişime geçin
• Birleşik Krallık temsilcisi (UK GDPR Madde 27): atanma sürecinde; bu ara dönemde dpo@gila.coach ile iletişime geçin

Buraya kadar okuduysanız ve endişeniz yanıtlanmadıysa, DPO'ya yazın, ücretsiz olarak 30 gün içinde yanıt vereceğiz.

---

Değişiklik günlüğü